GDPR a kyberbezpečnost: kdy jeden incident řešit s ÚOOÚ i NÚKIB

GDPR se uplatní, pokud organizace zpracovává osobní údaje fyzických osob; samotné nařízení je právním rámcem pro ochranu fyzických osob při zpracování osobních údajů a pro volný pohyb těchto údajů (zdroj: gdpr).

ZoKB míří na kybernetickou bezpečnost a podle § 1 upravuje práva a povinnosti v oblasti zajišťování kybernetické bezpečnosti i působnost a pravomoci Národního úřadu pro kybernetickou a informační bezpečnost, tedy NÚKIB (zdroj: zokb-264-2025).

Pro MSP je klíčové neříkat automaticky „máme NIS2“. Česká povinnost se posuzuje podle zákona č. 264/2025 Sb. a podle toho, zda firma poskytuje regulovanou službu. Regulovanou službou je podle § 3 ZoKB služba, o které tak rozhodl Úřad podle § 6 odst. 2; poskytovatel služby splňující podmínky podle § 4 odst. 1 ji má podle § 6 odst. 1 ohlásit Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (zdroj: zokb-264-2025).

Překryv vzniká tehdy, když bezpečnostní událost není jen technický výpadek, ale zároveň zasáhne osobní údaje. GDPR definuje „porušení zabezpečení osobních údajů“ jako porušení zabezpečení vedoucí k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému poskytnutí nebo zpřístupnění osobních údajů (zdroj: gdpr).

Typicky půjde o ransomware nad HR systémem, únik zákaznické databáze, kompromitaci mailboxu s osobními údaji, ztrátu notebooku bez účinného šifrování nebo neoprávněný přístup administrátora k datům. Pokud je firma současně poskytovatelem regulované služby podle ZoKB, stejná událost se musí posoudit i jako možný kybernetický bezpečnostní incident podle ZoKB (zdroj: zokb-264-2025).

Praktické pravidlo: incidentový tým by neměl nejdřív rozhodovat, „který zákon platí“. Měl by souběžně zodpovědět dvě otázky: zasáhlo to osobní údaje a práva fyzických osob? A zasáhlo to regulovanou službu, aktiva nebo povinnosti podle ZoKB?

Podle čl. 33 GDPR musí správce porušení zabezpečení osobních údajů ohlásit příslušnému dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody fyzických osob (zdroj: gdpr). ÚOOÚ ve své příručce výslovně uvádí, že tímto dozorovým úřadem je Úřad pro ochranu osobních údajů (zdroj: uoou).

Ohlášení podle čl. 33 GDPR má obsahovat alespoň popis povahy porušení, kontaktní místo, pravděpodobné důsledky a opatření přijatá nebo navržená ke zvládnutí porušení a zmírnění nepříznivých dopadů (zdroj: gdpr). Správce má také dokumentovat veškeré případy porušení zabezpečení osobních údajů tak, aby dozorový úřad mohl ověřit soulad s čl. 33 (zdroj: gdpr).

Pokud je pravděpodobné, že porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, čl. 34 GDPR ukládá správci oznámit porušení bez zbytečného odkladu také subjektu údajů (zdroj: gdpr).

ZoKB má vlastní ohlašovací logiku pro poskytovatele regulovaných služeb. Podle § 16 odst. 1 ZoKB poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení se základními údaji o incidentu a dalšími údaji vyžadovanými zákonem (zdroj: zokb-264-2025).

U incidentu s významným dopadem ZoKB v § 16 odst. 3 počítá s dalším oznámením nejpozději do 72 hodin po zjištění incidentu, s průběžnou zprávou na výzvu Úřadu nebo Národního CERT a se závěrečnou zprávou nejpozději do 30 dnů ode dne předložení oznámení; pokud incident stále trvá, postupuje se podle další průběžné a závěrečné zprávy podle § 16 odst. 3 písm. c) (zdroj: zokb-264-2025).

Podle § 16 odst. 4 ZoKB se incidenty včetně dobrovolných hlášení hlásí prostřednictvím Portálu Úřadu; pokud Portál nelze využít, poskytovatel v režimu vyšších povinností použije určenou elektronickou poštu nebo datovou schránku Úřadu a poskytovatel v režimu nižších povinností určenou elektronickou poštu nebo datovou schránku Národního CERT (zdroj: zokb-264-2025).

MSP by měly mít jeden interní incidentový proces, ale v něm dvě jasně oddělené právní větve. První větev vede na GDPR a ptá se, zda došlo k porušení zabezpečení osobních údajů, zda vzniká riziko nebo vysoké riziko pro fyzické osoby a zda se komunikuje s ÚOOÚ nebo se subjekty údajů (zdroj: gdpr, uoou).

Druhá větev vede na ZoKB a ptá se, zda je firma poskytovatelem regulované služby, zda incident dopadá na tuto službu nebo relevantní aktiva a jaký postup hlášení se použije podle § 16 ZoKB (zdroj: zokb-264-2025).

Prakticky pomůže krátký formulář pro první hodinu incidentu: co se stalo, kdy jsme to zjistili, jaké systémy a služby jsou dotčené, zda v nich byly osobní údaje, jaké kategorie osob mohou být zasažené, zda je služba regulovaná podle ZoKB, kdo rozhoduje o hlášení a kdo vede důkazní stopu.

Nejčastější chyba není technická, ale organizační: firma řeší obnovu serveru, ale pozdě vyhodnotí, že incident zasáhl osobní údaje nebo regulovanou službu. GDPR přitom staví na přiměřených technických a organizačních opatřeních podle rizika, včetně důvěrnosti, integrity, dostupnosti, odolnosti, obnovy dostupnosti a pravidelného testování účinnosti opatření (zdroj: gdpr).

U ZoKB je vhodné oddělit dvě fáze: nejprve klasifikace, zda se na firmu vztahují povinnosti poskytovatele regulované služby, a poté nastavení incidentového režimu, kontaktů a hlášení. ZoKB v § 1 výslovně svěřuje oblast kybernetické bezpečnosti a působnost Úřadu NÚKIB, nikoli ÚOOÚ (zdroj: zokb-264-2025).

Doporučení pro vedení: schvalte incidentový playbook, který na první stránce rozlišuje „GDPR / ÚOOÚ“ a „ZoKB / NÚKIB nebo Národní CERT“. Tím se sníží riziko záměny úřadů a zvýší šance, že právní, technické i komunikační kroky poběží včas.